Cercetătorii de la Morphisec au descoperit recent o vulnerabilitate critică în Microsoft Outlook, identificată ca CVE-2024-30103. Aceasta poate executa cod malițios imediat ce un email este deschis.
Vom explora aspectele tehnice ale CVE-2024-30103, examinând modul în care această vulnerabilitate poate fi exploatată și evaluând impactul său potențial asupra sistemelor dvs.
Această vulnerabilitate prezintă o amenințare semnificativă la adresa securității, permițând executarea codului de la distanță prin formulare Outlook injectate malițios.
Detalii tehnice ale CVE-2024-30103
La începutul acestui an, Netspi a descoperit o vulnerabilitate similară, CVE-2024-21378, care expunea Outlook la executarea codului de la distanță autentificat prin obiecte de formular sincronizate.
Cercetătorii de la Morphisec au dezvoltat pe baza descoperirilor din CVE-2024-21378 pentru a identifica CVE-2024-30103.
Această vulnerabilitate a exploatat o defecțiune în mecanismul de allow-listing, care nu a reușit să valideze în mod adecvat proprietățile serverului, permițând instanțierea neautorizată a formularelor personalizate sincronizate.
Vulnerabilitatea exploatează un defect în algoritmul de allow-listing, care nu reușește să gestioneze manipulările specifice ale caracterelor din căile de registry.
Cercetătorii au demonstrat cum calea de registry poate fi manipulată pentru a ocoli verificările de securitate și a declanșa instanțierea executabilelor serverului de formulare malițioase, utilizând caractere speciale, cum ar fi backslash-uri.
Cheia acestui exploit constă în manipularea cheilor de registry de către funcția API Windows, RegCreateKeyExA. Această funcție elimină backslash-urile terminale din numele cheilor, permițând crearea de chei imbricate. Exploatând acest comportament, atacatorii pot manipula căile de registry pentru a indica executabile malițioase, care sunt instanțiate automat atunci când un email special conceput este deschis în Outlook.
Această funcție procesează backslash-urile într-un mod specific: un backslash terminal într-o cheie de registry este eliminat, ceea ce înseamnă că „InprocServer32\” este tratat ca „InprocServer32.” Această discrepanță poate fi exploatată pentru a ocoli algoritmul de potrivire exactă, deoarece algoritmul vede cele două ca fiind diferite, dar registry-ul le tratează ca fiind la fel.
Cercetătorii au descoperit că acest comportament ar putea fi folosit pentru a încărca un executabil server de formulare malițios, plasându-l în folderul local Forms din AppData. Când un mesaj cu o anumită clasă de mesaje este trimis unei victime, acesta declanșează instanțierea serverului de formulare.
Această metodă poate încărca un DLL malițios în cadrul procesului Outlook sau poate folosi alte proprietăți COM, cum ar fi LocalServer32, pentru a iniția aplicații externe.
Vulnerabilitatea permite atacatorilor să execute cod arbitrar în contextul aplicației Outlook. Codul malițios, cum ar fi un fișier DLL, poate fi încărcat și executat, ceea ce poate duce la breșe de date, acces neautorizat și alte activități malițioase.
CVE-2024-30103 – Patch
Într-un recent update de securitate, Microsoft a revizuit algoritmul de potrivire a allow-listing-ului pentru a consolida apărarea sistemului. Actualizarea abordează vulnerabilitatea schimbând modul în care sunt potrivite subcheile.
Această schimbare are ca scop oferirea unei soluții mai robuste la potențialele amenințări de securitate, deși eficiența sa pe termen lung rămâne de văzut.
Împreună cu această actualizare, Microsoft a adus îmbunătățiri semnificative și listei sale de refuz (denylist). Lista de refuz actualizată încorporează noi tehnici concepute pentru a preveni atacurile de executare de cod de la distanță
Aceste îmbunătățiri demonstrează angajamentul continuu al Microsoft de a consolida măsurile de securitate și de a proteja utilizatorii de amenințările emergente.
Deși patch-ul abordează vulnerabilitatea imediată, natura în continuă evoluție a amenințărilor de securitate înseamnă că organizațiile trebuie să rămână vigilente. Actualizările regulate și auditurile de securitate sunt esențiale pentru a proteja împotriva posibilelor exploatări. Utilizatorilor li se recomandă să aplice cele mai recente patch-uri de securitate și să urmeze cele mai bune practici pentru a-și proteja sistemele împotriva unor astfel de vulnerabilități.
Sursa: https://cybersecuritynews.com/0-click-outlook-vulnerability/